NtQueryInformationWorkerFactory

Prototipo

NTSTATUS NtQueryInformationWorkerFactory(
  HANDLE                     WorkerFactoryHandle,
  WORKERFACTORYINFOCLASS     WorkerFactoryInformationClass,
  PVOID                      WorkerFactoryInformation,
  ULONG                      WorkerFactoryInformationLength,
  PULONG                     ReturnLength
);

Argumentos

IDs de syscalls por versión de Windows

Stub del syscall

4C 8B D1            mov r10, rcx
B8 5B 01 00 00      mov eax, 0x15B
F6 04 25 08 03 FE 7F 01   test byte ptr [0x7FFE0308], 1
75 03               jne short +3
0F 05               syscall
C3                  ret
CD 2E               int 2Eh
C3                  ret

Notas no documentadas

El lado simétrico de lectura de NtSetInformationWorkerFactory. `WorkerFactoryBasicInformation` devuelve una `WORKER_FACTORY_BASIC_INFORMATION` (ver ntexapi.h / phnt) incluyendo la `StartRoutine` actual, `StartParameter`, `ProcessId`, recuentos de hilos, timeouts y el binding count. La estructura es una de las pocas formas documentadas de observar programáticamente para qué está configurada actualmente una worker factory de threadpool — útil tanto para diagnóstico (taskmgr, PerfView) como para reconocimiento ofensivo de un proceso ya objetivo.

Uso común por malware

Usado por las variantes PoolParty con sobrescritura de StartRoutine como paso de lectura antes de escribir una estructura mutada vía NtSetInformationWorkerFactory. También usado por toolkits que enumeran worker factories en una víctima — una vez duplicado un handle (vía NtDuplicateObject), la consulta le dice al atacante qué threadpool está más ocupado, en qué proceso objetivo vive y qué StartRoutine despacha actualmente. Identificación de EDR posible al revés también: un atacante puede consultar las worker factories de su *propio* proceso para ver si una DLL de terceros ha hookeado o reemplazado la StartRoutine.

Oportunidades de detección

Las operaciones de consulta son de solo lectura y omnipresentes en el mantenimiento normal del threadpool — este syscall solo no es una señal útil. Se vuelve significativo cuando se acopla con un NtSetInformationWorkerFactory subsiguiente sobre el mismo handle (el patrón clásico read-modify-write), o cuando se emite inter-proceso. Los callbacks de kernel sobre el tipo de objeto WorkerFactory pueden correlacionar el par query/set; la telemetría en modo usuario es esencialmente inalcanzable porque los hooks EDR del lado query son rutinariamente eludidos por syscalls directos.

Ejemplos de syscalls directos

WORKER_FACTORY_BASIC_INFORMATION info;
ULONG ret = 0;
NTSTATUS s = NtQueryInformationWorkerFactory(
    hWf, WorkerFactoryBasicInformation,
    &info, sizeof(info), &ret);
if (NT_SUCCESS(s)) {
    printf("StartRoutine = %p in PID %llu, %u workers (%u waiting)\n",
           info.StartRoutine, (uint64_t)info.ProcessId,
           info.TotalWorkerCount, info.WaitingWorkerCount);
}

// hWfRemote was opened in our process via NtDuplicateObject(target, source, ours, ...)
// and now points to the *victim's* worker factory.
use ntapi::ntexapi::{NtQueryInformationWorkerFactory, WORKER_FACTORY_BASIC_INFORMATION};
let mut info: WORKER_FACTORY_BASIC_INFORMATION = unsafe { core::mem::zeroed() };
let mut ret: u32 = 0;
let status = unsafe {
    NtQueryInformationWorkerFactory(
        h_wf_remote,
        0, // WorkerFactoryBasicInformation
        &mut info as *mut _ as *mut _,
        core::mem::size_of_val(&info) as u32,
        &mut ret,
    )
};
assert_eq!(status, 0);
println!("victim StartRoutine: {:p}", info.StartRoutine);

Mapeos MITRE ATT&CK

• T1055Process Injectionmitre ↗
• T1106Native APImitre ↗